Chrome のフルチェーン脆弱性が今回攻略された速さは、ブラウザを使うすべての人が警戒すべき水準です。2026年10月13日、自主型オフェンシブセキュリティ企業の XBOW は Business Wire の発表で、研究者 Brendan Dolan-Gavitt が OpenAI の GPT-5.6 Sol を使うエージェントと協働し、わずか6日で Chrome の攻撃チェーン一式を構築して、Google の Chrome 脆弱性報奨金プログラムから25万ドルを得たと明らかにしました。2026年の新ルール下で初のフルチェーン報奨であり、自主型オフェンシブセキュリティ基盤への初の授与でもあります。
単体では地味な3件の不具合が、どう1本のチェーンになったのか
チェーンは2つのサンドボックス境界を3段階で越えました。まず Chrome の JavaScript エンジン V8 の不具合でエンジン側サンドボックス内のメモリを掌握し、次にアニメーション WebP デコーダの不具合（CVE-2026-85045）でその境界を破ってネイティブメモリへ精密な書き込みを行い、最後にサンドボックス外で動くクラッシュ処理コンポーネント Crashpad の不具合（CVE-2026-78952）で完全なコード実行に変えました。結果として、通常のウェブページを開くだけでサンドボックス外のプログラムが起動しうる状態になり、ダウンロードも追加のクリックも不要でした。XBOW は、修正前に世界で推定約10億人の Windows 版 Chrome 利用者がこの種の欠陥の影響範囲にいたと述べています。3件はいずれも公式経路で報告され、Google の技術者が再現と確認を行って修正を公開しました。実際に利用者への攻撃に使われた形跡はありません。
6日と約4万ドルが書き換える攻防の帳簿
同水準のブラウザ・フルチェーン攻撃の構築には、従来は数か月を要しました。XBOW の見積もりでは、今回成功した取り組みの計算コストは約4万ドル、期間は6日です。創業者兼 CEO の Oege de Moor は発表の中で、単体では高危険度に見えない脆弱性でも、今では短期間で高危険度な攻撃経路へつなげられると指摘し、攻撃側がこの速さで動く以上、防御側も同じペースで悪用可能な経路を先に見つける必要があると述べました。OpenAI のサイバーセキュリティ研究責任者 Clint Gibler は、人々が毎日頼るソフトウェアを守るため、この能力をより多くの防御者の手に渡したいと語っています。XBOW は報奨金を非政府組織へのセキュリティ支援の継続に充てるとしています。
利用者とチームが今すべきこと
個人の利用者に必要な行動は一つだけですが、遅らせないことが大切です。Chrome に更新の通知が出たら、数週間放置せずブラウザを再起動して更新を完了させてください。企業のセキュリティチームにとっての示唆はより具体的で、修正の優先順位を単一の不具合の評価だけで決めず、手元の中・低危険度の問題がチェーンとしてつながる可能性を評価する必要があります。当サイトが以前報じたAnthropic の蒸留防御が効き、Claude から抽出される推論量が大幅に減った件はモデル層の防御の高速化でしたが、今回の件は、ブラウザのような基盤ソフトウェアでも攻防のペースがエージェントによって書き換わりつつあることを示しています。自社システムを先にエージェントで叩いた側が、修正の主導権を握ります。
